Meta Muse 대화 공유 링크, 제목이 서브도메인에 들어가 누구나 찾을 수 있었음
- Claroc 연구진이 패시브 DNS 기록을 뒤져 Muse 공유 링크 6,800개를 열거함
- 공유 링크는 대화 제목을 서브도메인에 넣는 방식이라 주소 형태만 봐도 내용을 짐작할 수 있음
- 노출된 자료에는 경영진 헤드헌팅 메모, 대출 신청서, 은행 사기 경보가 담긴 할 일 목록, 직원 휴가 일정표 등이 포함됨
- Meta는 공유 기능을 일시 중단하고 링크가 검색되는 방식을 검토 중이라고 밝힘
- 앞서 Patrick Wardle이 같은 기기의 다른 앱이 Muse 계정을 완전히 장악할 수 있는 제로데이 취약점을 발견했으나 Meta는 심각도를 낮춰 발표함
Hacker News 의견들
Meta가 개인정보 막 다루는 거야 새삼스러운 일도 아니지만, 이건 광고 타겟팅용으로 아예 그렇게 설계된 거 아님? 실수라기보다 목적에 가깝다고 봄.
페이스북은 연결이 끊긴 옛날 사람 찾을 때 대체재가 없으니까 쓰는 거임. 사람들이 위험을 몰라서 그런 것도 있지만 네트워크 효과 때문에 그냥 못 떠나는 경우가 많음.
서브도메인에 추측 불가능한 값을 넣으면 안 된다는 교훈이더라. 패시브 DNS에 그대로 남으니까 검색만 하면 다 나옴.
Muse 같은 에이전트는 개인정보를 최대한 분리해서 써야 하는 도구인데, 10년 넘게 사용자 뒤통수 쳐온 Meta한테 신뢰하라고 하니까 웃김.
그럼 그냥 추측 불가능한 고유 URL을 만들면 되지 않나? 왜 굳이 대화 제목을 호스트네임에 넣었는지 이해가 안 감.
공유 페이지 자체는 링크 가진 사람만 열 수 있게 인증이 걸려 있는 것 같은데, 문제는 호스트네임이 DNS 기록으로 남는 거임.
나는 hermes를 로컬에서 돌리고 모델은 DeepSeek을 쓰는데, 개인 에이전트를 클라우드 말고 집 네트워크 안에서 돌리는 제품이 나오면 살 거임.
나는 Muse 무료 VM만 한번 써봤는데 계정 권한 많이 주는 건 무서워서 민감한 정보는 절대 안 줬음.